Sudo đã hoàn tất nâng cấp Node.js lên các bản vá bảo mật mới nhất trên toàn bộ hệ thống, khắc phục loạt lỗ hổng vừa được dự án Node.js công bố trong đợt cập nhật bảo mật khẩn cấp tháng 10/2026.
Đợt phát hành này sửa 10 lỗ hổng bảo mật khác nhau, áp dụng đồng loạt cho các nhánh 22.x, 24.x và 26.x. Trong đó có 4 lỗ hổng mức độ Cao, bao gồm một lỗi có thể dẫn tới thực thi mã từ xa (RCE). Bản vá cũng cập nhật các thư viện lõi đi kèm Node.js như OpenSSL, SQLite, c-ares và Undici.
Khách hàng sử dụng dịch vụ do Sudo quản lý không cần thực hiện thêm thao tác nào. Bài viết dưới đây tóm tắt các lỗ hổng, những gì Sudo đã làm và khuyến nghị cho khách hàng tự quản lý máy chủ.
Các lỗ hổng nghiêm trọng được công bố
Nghiêm trọng nhất là CVE-2026-111497 trong bộ giải mã Brotli: kẻ tấn công chỉ cần gửi dữ liệu nén độc hại là có thể gây rò rỉ bộ nhớ hoặc thực thi mã từ xa.
| Mã CVE | Mức độ | Mô tả | Phiên bản ảnh hưởng |
|---|---|---|---|
| CVE-2026-111497 | Cao | Ghi ngoài bộ nhớ đệm (out-of-bounds write) trong bộ giải mã Brotli; dữ liệu nén độc hại có thể gây rò rỉ bộ nhớ hoặc thực thi mã từ xa (RCE). | 22.x, 24.x, 26.x |
| CVE-2026-105482 | Cao | Hàm dns.resolve cắt cụt tên miền chứa ký tự NUL, có thể bị lợi dụng để điều hướng hoặc vượt qua kiểm tra DNS. | 22.x, 24.x, 26.x |
| CVE-2026-105483 | Cao | Vượt qua kiểm tra hostname của chứng chỉ TLS khi địa chỉ IP được viết bằng chữ số fullwidth. | 24.x, 26.x |
| CVE-2026-106069 | Cao | Vượt qua kiểm tra hostname của chứng chỉ TLS khi host đích được phân giải lỏng lẻo thành địa chỉ IP. | 22.x, 24.x, 26.x |
| CVE-2026-105481 | Trung bình | Socket keep-alive xử lý một response được ghi trước khi request được gửi đi. | 22.x, 24.x, 26.x |
| CVE-2026-106072 | Trung bình | Xác thực chứng chỉ sai với hostname IPv4 không chuẩn, cho phép DNS SAN xác thực endpoint IP. | 22.x, 24.x, 26.x |
| CVE-2026-106074 | Trung bình | Bộ đệm entropy của crypto.randomUUID() và randomInt() bị lưu vào startup snapshot, khiến các tiến trình sinh ra cùng giá trị ngẫu nhiên. | 22.x, 24.x, 26.x |
| CVE-2026-106073 | Thấp | Vượt qua cơ chế phân quyền (Permission Model) thông qua fs.realpathSync. | 22.x, 24.x, 26.x |
Ngoài các lỗ hổng trên, đợt cập nhật còn vá các thư viện phụ thuộc lõi OpenSSL, SQLite, c-ares và Undici.
Sudo đã cập nhật những gì
Ngay khi bản vá được phát hành, đội ngũ kỹ thuật Sudo đã nâng cấp toàn bộ môi trường Node.js trên hệ thống lên các phiên bản an toàn chính thức.
| Nhánh Node.js | Phiên bản đã cập nhật |
|---|---|
| 26.x | v26.12.1 |
| 24.x (LTS) | v24.22.1 |
| 22.x (LTS) | v22.23.4 |
Quá trình nâng cấp được thực hiện cuốn chiếu và đã được kiểm tra tương thích, không làm gián đoạn dịch vụ của khách hàng. Khách hàng có thể kiểm tra phiên bản đang chạy bằng lệnh node -v.
Khuyến nghị cho khách hàng tự quản lý máy chủ
Nếu bạn tự cài đặt Node.js trên VPS, máy chủ riêng hoặc container, hãy nâng cấp ngay theo các bước sau:
- Kiểm tra phiên bản hiện tại bằng
node -v. - Nâng cấp lên bản vá tương ứng: v22.23.4, v24.22.1 hoặc v26.12.1.
- Nếu dùng Docker, cập nhật tag image Node.js trong Dockerfile rồi build và triển khai lại.
- Khởi động lại ứng dụng (PM2, systemd…) để tiến trình chạy trên phiên bản mới.
Lưu ý: Node.js 23.x và 25.x đã hết vòng đời hỗ trợ (EOL) và không nhận bản vá cho đợt lỗi này. Nếu đang dùng các phiên bản này, bạn nên chuyển sang bản LTS 24.x hoặc lên 26.x.
Một số nền tảng đám mây đã bật tường lửa WAF để chặn các mẫu khai thác lỗi Brotli, nhưng nâng cấp runtime vẫn là biện pháp triệt để nhất.
Lời kết
Sudo luôn theo dõi sát các thông báo bảo mật và chủ động cập nhật để hệ thống của khách hàng vận hành an toàn, ổn định. Nếu cần hỗ trợ kiểm tra hoặc nâng cấp Node.js, vui lòng liên hệ đội ngũ kỹ thuật Sudo để được hướng dẫn.
